As empresas MyCrypto e PhishFort identificaram 49 extensões maliciosas na Chrome Web Store, que enviam chaves e senhas de carteiras de criptomoedas para servidores de criminosos. As extensões foram disseminadas usando métodos de publicidade de phishing e apresentadas como implementações de várias carteiras de criptomoedas. Elas foram baseadas no código de carteiras oficiais, mas incluíam modificações maliciosas que enviavam chaves privadas, códigos de recuperação e arquivos com chaves.
Para algumas extensões, uma classificação positiva foi artificialmente mantida com a ajuda de usuários fictícios, e avaliações positivas foram publicadas. A Google removeu as extensões mencionadas da Chrome Web Store dentro de 24 horas após a notificação. A publicação das primeiras extensões maliciosas começou em fevereiro, mas o pico ocorreu em março (34,69%) e abril (63,26%).
A criação de todas as extensões está associada a um único grupo de atacantes, que implantou 14 servidores de comando para gerenciar o código malicioso e coletar dados interceptados pelas extensões. Todas as extensões utilizavam código malicioso padrão, mas as próprias extensões eram disfarçadas como diferentes produtos. Ledger (57% das extensões maliciosas), MyEtherWallet (22%), Trezor (8%), Electrum (4%), KeepKey (4%), Jaxx (2%), MetaMask e Exodus.
Durante a configuração inicial da extensão, os dados eram enviados para um servidor externo e, após algum tempo, os fundos eram retirados da carteira.
Fonte: opennet.ru
